Auth0 Management API を使用したユーザーセッションの管理

Auth0 Management API を使用してユーザーセッションを管理し、アクティブなセッションの一覧表示、個別のセッションの取り消し、またはすべてのセッションの終了を行います。

Auth0 では、リクエストをまたいでユーザーの認証状態を維持するために セッション を使用します。

Auth0 Management API のセッション管理エンドポイントは、Enterprise プランをご利用のお客様に提供されています。詳しくは、Pricing をご覧ください。

​

Management API エンドポイント

Management API は、Auth0 Session Layer におけるユーザーセッションの内部状態に帯域外からアクセスする手段と、セッションを強制終了するための削除メソッドを提供します。

​

セッションリソース

以下のエンドポイントを使用して、特定のセッションを参照または削除できます。

名前	URL	必要なスコープ
ID を指定して特定のセッションを参照する	GET /api/v2/sessions/{sessionId}	read:sessions
ID を指定して特定のセッションを削除する	DELETE /api/v2/sessions/{sessionId}	delete:sessions

​

ユーザーリソース

以下のエンドポイントを使用すると、指定したユーザーのすべてのセッションを一覧表示したり、削除したりできます。

Name	URL	Required scope(s)
ユーザーのセッション詳細を一覧表示	GET /api/v2/users/{userId}/sessions	read:sessions
ユーザーのすべてのセッションを削除	DELETE /api/v2/users/{userId}/sessions	delete:sessions

​

セッションのプロパティ

セッションエンドポイントは、セッションとその履歴に関する情報を返します。

項目	説明
セッション ID	セッション ID は、Auth0 テナント内でセッションを一意に識別する永続的な識別子です。 なお、セッション ID は ID トークンおよびログアウトトークンにすでに含まれている sid クレームに対応しており、これらを相互に参照するために使用できます。
関連時刻	セッションの作成時刻、認証時刻、有効期限に関する情報です。
デバイス情報	device プロパティには、この Auth0 セッションとのやり取りで使用されたユーザーエージェント (たとえばブラウザ) に関する詳細が含まれます。
認証情報	このセッションでの認証に使用された方法の概要情報が含まれます。

これらの項目の詳細については、Management API ドキュメントを参照してください。

​

OIDC バックチャネルログアウトの開始元

セッション削除イベントは、session-deleted イニシエーターを介して OIDC バックチャネルログアウト に関連付けられます。詳細については、OIDC バックチャネルログアウトの開始元 を参照してください。

​

セッションとリフレッシュトークン

セッションとリフレッシュトークンは、セキュリティを保ちながらユーザー認証の手間を減らすために連携して機能します。詳しくは、Auth0 Blog のアプリケーション セッション管理のベストプラクティスをご覧ください。

リフレッシュトークンは、セッションの有効期限が切れた後や削除された後、またはユーザーがログアウトした後でも有効なまま残る場合があります。Management APIを使用すると、セッションとは独立して、またはセッションと連携して、リフレッシュトークンを管理できます。

​

制限事項

セッションの削除操作は非同期で実行され、整合性が反映されるまでに時間がかかる場合があります。

​

詳しく見る

• OIDC エンドポイントを使用して Auth0 からユーザーをログアウトする
• OIDC バックチャネルログアウト
• OIDC バックチャネルログアウトの開始元
• OIDC バックチャネルログアウトを設定する